CVE-2026-48508 in Lemur
Riassunto
di VulDB • 18/08/2026
Lemur gestisce la creazione dei certificati TLS. Prima della versione 1.9.1, StrictRolePermission e AuthorityCreatorPermission in lemur/auth/permissions.py chiamano flask_principal.Permission.__init__() con zero oggetti Need quando ADMIN_ONLY_AUTHORITY_CREATION e LEMUR_STRICT_ROLE_ENFORCEMENT non sono impostati, poiché entrambi i flag hanno come valore predefinito False. Flask-Principal Permission.allows() restituisce True quando self.needs è vuoto; di conseguenza, il controllo autorizzativo .can() consente a ogni identità autenticata, incluso il ruolo in sola lettura (read-only). Un utente con ruolo read-only può accedere alle endpoint POST /api/1/authorities, POST /api/1/certificates/upload, POST /api/1/pending_certificates//upload, POST /api/1/notifications, PUT o DELETE /api/1/notifications/, e POST /api/1/domains per creare Certificate Authority root, caricare certificati arbitrari, creare o modificare notifiche che raggiungono un sink SSRF (Server-Side Request Forgery) e creare voci di dominio. L'impostazione esplicita di uno dei due flag su False continua a comportarsi con la stessa logica permissiva. Questo problema è stato risolto nella versione 1.9.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.